K121.326/0002-DSK/2008 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Mag. MAITZ-STRASSNIG, Dr. KOTSCHY, Dr. BLAHA, Mag. ZIMMER und Dr. STAUDIGL sowie der Schriftführerin Mag. FRITZ in ihrer Sitzung vom 18. Jänner 2008 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde des U**** K**** in V**** (Beschwerdeführer), vertreten durch den R****-Verein in V****, vom 13. August 2007 gegen den F***-Gläubigerschutzverband in R**** (Beschwerdegegner), wegen Verletzung im Recht auf Auskunft wird gemäß den §§ 26 Abs 1, Abs. 4 und 31 Abs 1 des Datenschutzgesetzes 2000, BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005 (DSG 2000), wie folgt entschieden:

Der Beschwerde wird stattgegeben und dem Beschwerdegegner bei sonstiger Exekution aufgetragen, dem Beschwerdeführer hinsichtlich der zu seiner Person in den Datenanwendungen W***-Evidenz, K***-Evidenz und M***-Datenbank verarbeiteten Daten innerhalb einer Frist von drei Wochen Auskunft über allfällige Empfänger oder Empfängerkreise dieser Daten zu geben bzw. zu begründen, weshalb eine solche Auskunft nicht erteilt wird.

B e g r ü n d u n g:

A. Vorbringen der Parteien

In seiner Beschwerde vom 13. August 2007 brachte der Beschwerdeführer vor, er fühle sich in seinem Recht auf vollständige Auskunft gemäß § 26 DSG 2000 dadurch verletzt, dass er auf sein Auskunftsbegehren bloß eine „beiliegende unzureichende Auskunft“ erhalten habe. Es würden Angaben, etwa Scoringwerte, sonstige Bewertungen oder ergänzende Angaben (Insolvenzdaten) fehlen, aus denen erkennbar sei, dass ein Konkurs über Euro 0 für die Empfänger der Daten eine Aussage zur Kreditwürdigkeit darstelle. Weiters würden Auskünfte über Datenübermittlungen fehlen. Der Beschwerde ist eine Auskunft des Beschwerdegegners vom 26. Juni 2007 über Daten des Beschwerdeführers - darunter auch Angaben über ein ihn betreffendes Konkursverfahren mit einem ausgewiesenen Betrag von Euro 0 aus der W***-Evidenz – angeschlossen.

In seiner Stellungnahme vom 6. September 2007 teilte der Beschwerdegegner der Datenschutzkommission im Wesentlichen mit, dass die Datenausgabe „Selbstauskunft nach § 26 DSG 2000“ in der W***-Evidenz die Übermittlungsdaten der letzten drei Jahre enthalte. Würden solche Übermittlungen in der Auskunft nicht genannt werden, bedeute dies, dass solche in diesem Zeitraum auch nicht stattgefunden hätten.

In der mündlichen Verhandlung vom 26. September 2007 führte der Beschwerdegegner ergänzend aus, das System der Datenanwendung W***-Evidenz sei so programmiert, dass bei einer erstellten Auskunft automatisch die Datenempfänger der letzten drei Jahre ausgedruckt werden. Da im vorliegenden Fall keine Datenanwendungen aufscheinen, bedeute dies, dass in den letzten drei Jahren keine Übermittlungen der Beschwerdeführerdaten vorgenommen worden seien. Bei der W***- Evidenz handle es sich um eine aktuelle moderne Datenbank auf Basis der Firma Oracle. Sie enthalte Inhaltsdaten und registriere auch sämtliche Anfragedaten (folglich: wer, wann über wen Daten abgefragt habe und ob Inhaltsdaten übermittelt worden seien; Treffer Ja/Nein). Nach drei Jahren würden die Daten überschrieben bzw. seien diese nicht mehr verfügbar. Im Übrigen vertrete der Beschwerdegegner die Ansicht, die gegenständliche Beschwerde beziehe sich ausschließlich auf die W***-Evidenz.

Der Beschwerdeführer brachte anlässlich der mündlichen Verhandlung vor, die gegenständliche Beschwerde beschränke sich – so wie das eigentliche Auskunftsbegehren - nicht auf die W***-Evidenz. Er habe - damals noch unvertreten – ein allgemein gehaltenes Auskunftsbegehren an den Beschwerdegegner gestellt. Es handle sich dabei um ein Muster seiner nunmehrigen Vertreterin. Das konkrete Auskunftsbegehren könne von ihm aber nicht mehr vorgelegt werden.

Mit Schreiben vom 8. Oktober 2007 übermittelte der Beschwerdeführer die „vollständige ***Auskunft“ der Datenschutzkommission. Demnach sei dem Beschwerdeführer mit Schreiben vom 26. Juni 2007 von dem Beschwerdegegner Auskunft über die zu seiner Person verarbeiteten Daten in der K***- Evidenz, der L***-Evdienz und der W***-Evidenz erteilt worden. Gleichzeitig brachte der Beschwerdeführer in seinem Schreiben vor, aus dem bloßen Fehlen einer Information, etwa an wen Daten weitergegeben worden seien, könne nicht automatisch geschlossen werden, dass es zu keiner Datenweitergabe gekommen sei. Es wäre dem Gesetz entsprechend sinnvoll, dass dem Betroffenen – im Fall des Fehlens von Datenweitergaben – bekanntgegeben werde, dass keine Daten weitergegeben worden seien. Andernfalls wäre es für den Betroffenen unmöglich zu erkennen, ob Daten nicht weitergegeben worden seien oder die entsprechende Auskunft bloß vergessen worden sei.

Mit Schreiben vom 18. Oktober 2007 übermittelte der Beschwerdegegner der Datenschutzkommission eine Kopie des Auskunftsbegehrens des Beschwerdeführers vom 24. Mai 2007 sowie eine Kopie der daraufhin erteilten Auskunft an den Beschwerdeführer vom 26. Juni 2007. Daraus geht hervor, dass der Beschwerdeführer in seinem Schreiben vom 24. Mai 2007 von den Beschwerdegegner u.a. Auskunft darüber begehrte, an wen über seine Person gespeicherte Daten übermittelt worden seien sowie ob ihn betreffende Daten nach § 10 DSG 2000 verarbeitet würden und von wem (Dienstleister). Die daraufhin vom den Beschwerdegegner erteilte Auskunft an den Beschwerdeführer vom 26. Juni 2007 umfasste zusätzlich zu der vom Beschwerdeführer bereits mit Schreiben vom 8. Oktober 2007 vorgelegten Auskunft über die zu seiner Person verarbeiteten Daten in der K***- Evidenz, der L***-Evidenz und der W***-Evdienz auch ihn betreffende Daten, die in der M***-Datenbank gespeichert werden. Sowohl eine Kopie des Auskunftsersuchens vom 24. Mai 2007, als auch eine Kopie der erteilten Auskunft vom 26. Juni 2007 sei dem Beschwerdeführer zu Handen dessen Vertreterin gemeinsam mit einem Schreiben an den Beschwerdeführer vom 18. Oktober 2007 – welches ebenfalls in Kopie der Datenschutzkommission vorgelegt wurde – (nochmals) übermittelt worden.

In dem – der Datenschutzkommission vorgelegten – Schreiben vom 18. Oktober 2007 erteilte der Beschwerdegegner dem Beschwerdeführer Auskunft darüber, dass er keine Dienstleister beauftragt habe, Daten des Beschwerdeführers aus der W***- Evidenz zu verarbeiten. „Um jedoch dieses Verfahren abzukürzen“, erteilte der Beschwerdegegner dem Beschwerdeführer Auskunft über die (im Schreiben konkret angeführten) Namen aller Unternehmen, die mit Dienstleistungsaufgaben für alle Datenbanken des Beschwerdegegners betraut seien.

In seiner Stellungnahme vom 29. Oktober 2007 bestätigte der Beschwerdeführer den Umfang des Auskunftsschreibens des Beschwerdegegners vom 26. Juni 2007 auch in Bezug auf die M***-Datenbank. Gleichzeitig gab er bekannt, dass er seine Beschwerde in Bezug auf die Insolvenzdaten nicht weiter aufrecht erhalte. Die Beschwerde wegen „unvollständiger Auskunft“ werde jedoch weiter aufrecht erhalten, da insbesondere die Auskunft über die Empfänger der Daten unklar und unzureichend sei. Aus dem Schreiben des Beschwerdegegners gehe nur hervor, dass Daten aus der W***-Evidenz in den letzten drei Jahren nicht weitergegeben worden seien, daraus sei aber nicht ersichtlich, ob Daten „zu früheren Weitergaben verfügbar“ seien und dementsprechend zu beauskunften wären. Weiters sei auch nicht erkennbar, ob Daten aus den anderen Evidenzen des Beschwerdegegners (K***-Evidenz und M***- Datenbank) weitergegeben worden seien. Schließlich seien auch die Auskünfte zu den Dienstleistern nicht nachvollziehbar.

B. Beschwerdegegenstand

Auf Grund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob der Beschwerdegegner dem Beschwerdeführer mit dem Auskunftsschreiben vom 26. Juni 2007 gesetzmäßig Auskunft über allfällige Empfänger oder Empfängerkreise seiner personenbezogenen Daten erteilt hat.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Der Beschwerdeführer richtete am 24. Mai 2007 ein Auskunftsbegehren an den Beschwerdegegner, worin er gestützt auf § 26 „und alle anwendbaren Bestimmungen des DSG 2000“ u.a. Auskunft zu den zur Person des Beschwerdeführers verarbeiten Daten verlangte, insbesondere welche Daten über ihn gespeichert werden und an wen diese Daten übermittelt wurden. Weiters wurde auch Auskunft über allfällige Dienstleister verlangt.

Der Beschwerdegegner beantwortete dieses Auskunftsbegehren mit Schreiben vom 26. Juni 2007. Darin wurde dem Beschwerdeführer Auskunft über die zu seiner Person verarbeiteten Daten in der K***-Evidenz, in der L***-Evidenz (welche keine Eintragungen in Bezug auf den Beschwerdeführer enthalte), in der W***- Evidenz und in der M***-Datenbank erteilt. Angaben dazu, ob die Daten des Beschwerdeführers an Dritte übermittelt wurden oder nicht, finden sich darin nicht. Auch wird darin keine Auskunft über allfällige Dienstleister dieser Daten erteilt.

Am 13. August 2007 erhob der Beschwerdeführer durch den ihn vertretenden Verein Beschwerde an die Datenschutzkommission wegen Erteilung einer unvollständigen Auskunft in Bezug auf Insolvenzdaten aus der W***-Evidenz. Weiters brachte er darin vor, es seien ihm keine Übermittlungsempfänger seiner Daten genannt worden.

Die in der mündlichen Verhandlung vom Beschwerdegegner aufgestellte Behauptung, Daten würden nach 3 Jahren überschrieben bzw. seien nicht mehr verfügbar, blieb unbekämpft.

Mit Schreiben vom 18. Oktober 2007 erteilte der Beschwerdegegner dem Beschwerdeführer Auskunft darüber, dass keine Dienstleister beauftragt seien, Daten des Beschwerdeführers aus der W***-Evidenz zu verarbeiten; gleichzeitig wurden dem Beschwerdeführer aber auch Name und Adresse sämtlicher Unternehmen, die mit Dienstleistungsaufgaben für alle Datenbanken des Beschwerdegegners betraut seien, bekannt gegeben.

Nach Parteiengehör zu den bisherigen Ergebnissen des Ermittlungsverfahrens zog der Beschwerdeführer seine Beschwerde in Bezug auf die mangelhafte Auskunft über Insolvenzdaten in der W***-Evidenz mit Schreiben vom 29. Oktober 2007 zurück. Im Übrigen – also hinsichtlich allfälliger Übermittlungsempfänger - wurde die Beschwerde allerdings aufrecht erhalten. Zusätzlich machte der Beschwerdeführer nunmehr eine unvollständige Auskunft in Bezug auf allfällige Dienstleister des Beschwerdegegners geltend. Dieses Vorbringen wurde als neue Beschwerde der Datenschutzkommission protokolliert, weil damit eine nach § 13 Abs. 8 AVG unzulässige wesentliche Änderung des Verfahrensgegenstandes vorlag.

Beweiswürdigung : Diese Feststellungen beruhen im Wesentlichen auf dem Vorbringen der Parteien, insbesondere den zitierten Urkunden (Auskunftsschreiben) und den in der mündlichen Verhandlung vom 26. September 2007 getätigten Aussagen des Beschwerdeführervertreters sowie der Prozessbevollmächtigten des Beschwerdegegners, Dr. I*** und G**** T****.

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

§ 26 Abs.1 bis 4 DSG 2000 lautet unter der Überschrift „Auskunftsrecht“:

„ § 26. (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

(2) Die Auskunft ist nicht zu erteilen, soweit dies zum Schutz des Betroffenen aus besonderen Gründen notwendig ist oder soweit überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten, insbesondere auch überwiegende öffentliche Interessen, der Auskunftserteilung entgegenstehen. Überwiegende öffentliche Interessen können sich hiebei aus der Notwendigkeit

(3) Der Betroffene hat am Auskunftsverfahren über Befragung in dem ihm zumutbaren Ausmaß mitzuwirken, um ungerechtfertigten und unverhältnismäßigen Aufwand beim Auftraggeber zu vermeiden.

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.“

2. rechtliche Schlussfolgerungen

Der Beschwerdeführer macht in seiner Beschwerde geltend, der Beschwerdegegner habe ihm keine Übermittlungsempfänger seiner personenbezogenen Daten genannt. Damit beschwert sich der Beschwerdeführer – anders als in Bezug auf die bereits zurückgezogene Beschwerde hinsichtlich einer mangelhaften Auskunft ihn betreffender Insolvenzdaten - darüber, dass ihm überhaupt keine Auskunft über die – von ihm mit Schreiben vom 24. Mai 2007 begehrten – Übermittlungsempfänger seiner Daten erteilt worden ist und macht insofern eine Verletzung im Recht auf Erteilung einer Auskunft geltend.

Soweit der Beschwerdegegner in diesem Zusammenhang meint, diese Behauptung der Verletzung im Recht auf Erteilung einer Auskunft beziehe sich ausschließlich auf personenbezogene Daten des Beschwerdeführers, die in der W***-Evidenz des Beschwerdegegners gespeichert seien, übersieht er, dass der Beschwerdeführer in der mündlichen Verhandlung vom 27. September 2007 – im Einklang mit seinem an den Beschwerdegegner gerichteten Auskunftsbegehren vom 24. Mai 2007 – eine Verletzung im Recht auf Erteilung einer Auskunft von Übermittlungsempfängern sämtlicher bei den Beschwerdegegner gespeicherter Daten des Beschwerdeführers (somit auch aus der K***-Evidenz und der M***- Datenbank; in der L***-Evidenz sind – laut der Auskunft vom 26. Juni 2007 - keine Eintragungen über den Beschwerdeführer enthalten) geltend gemacht hat.

In Verkennung dessen bestreitet der Beschwerdegegner daher auch nicht, dass er dem Beschwerdeführer keine Auskunft über Übermittlungsempfänger von Daten des Beschwerdeführers, die in der K***-Evidenz und der M***-Datenbank gespeichert sind, in seiner Auskunft vom 26. Juni 2007 erteilt hat. Auch wurde eine solche im Laufe des Verfahrens weder nachgeholt, noch begründet, weshalb sie nicht erteilt werde.

In Bezug auf die W***-Evidenz bringt der Beschwerdegegner vor, diese sei so programmiert, dass bei einer erstellten Auskunft automatisch die Datenempfänger der letzten drei Jahre ausgedruckt werden würden. Da im vorliegenden Fall keine Datenanwendungen aufscheinen würden, bedeute dies, dass in den letzten drei Jahren keine Übermittlungen der Beschwerdeführerdaten vorgenommen worden seien. Dem Auskunftsbegehren des Beschwerdeführers sei somit mit Schreiben vom 26. Juni 2007 entsprochen worden.

Mit diesem Vorbringen übersieht der Beschwerdegegner aber, dass selbst dann, wenn es keine Übermittlungsempfänger der Daten des Beschwerdeführers gäbe und er daher im Sinne des § 26 Abs. 1 3. Satz DSG 2000 auch keine Auskunft zu erteilen hätte („Die Auskunft hat.....allfällige Empfänger oder Empfängerkreise von Übermittlungen....anzuführen“), er dennoch nach § 26 Abs. 4 DSG 2000 verpflichtet wäre, dem Betroffenen innerhalb einer Frist von acht Wochen zu begründen, weshalb keine Auskunft erteilt wird. Der Beschwerdegegner wäre daher im vorliegenden Fall jedenfalls verpflichtet gewesen, dem Beschwerdeführer mitzuteilen, dass keine Übermittlungen seiner Daten (in den letzten drei Jahren) stattgefunden haben. Eine solche Mitteilung findet sich aber weder im Auskunftsschreiben vom 26. Juni 2007, noch wurde sie im Laufe des Verfahrens gegenüber dem Betroffenen nachgeholt.

Der Beschwerdegegner hat daher dadurch, dass er dem Auskunftsbegehren des Beschwerdeführers nicht im Sinne des § 26 Abs. 4 DSG 2000 entsprochen hat, insgesamt den Beschwerdeführer in seinem Recht auf Erteilung einer Auskunft in Bezug auf allfällige Übermittlungsempfänger seiner Daten verletzt.

Es war daher spruchgemäß ein vollstreckbarer Leistungsauftrag unter Setzung einer angemessenen Frist (§ 59 Abs. 2 AVG) zu erlassen.

Abschließend ist ordnungshalber noch darauf hinzuweisen, dass sich die Auskunftspflicht des § 26 DSG 2000 – anders als der Beschwerdeführer meint – ausschließlich auf beim Auftraggeber (noch) gespeicherte Daten bezieht.